Daugelis sėkmingų atakų prieš įmones prasideda ne nuo naujo, niekam nežinomo viruso, o nuo seniai paskelbtos, bet neištaisytos spragos: neatnaujinto VPN įrenginio, pamiršto testinio serverio ar seną įskiepį naudojančios svetainės. Antivirusinė programa tokių spragų neuždaro – ji saugo nuo kenkėjiškų programų, bet ne nuo to, kad sistema pati palieka atviras duris.
Pažeidžiamumų valdymas – tai nuolatinis procesas, kurio metu įmonė randa savo sistemų silpnąsias vietas, įvertina jų pavojingumą ir jas pašalina anksčiau nei tuo pasinaudoja užpuolikai. Šiame straipsnyje paaiškiname, kaip toks procesas atrodo praktiškai ir nuo ko verta pradėti.
Kuo pažeidžiamumų valdymas skiriasi nuo antivirusinės apsaugos
- Antivirusinė ar EPP apsauga reaguoja į kenkėjišką veiklą, kai ji jau vyksta įrenginyje.
- Pažeidžiamumų valdymas veikia anksčiau – jis ieško spragų, kuriomis kenkėjiška veikla galėtų pasinaudoti.
- Pirmoji saugo galinius įrenginius, antrasis apima ir serverius, tinklo įrenginius, svetaines, API ir debesų paslaugas.
- Abu sluoksniai vienas kitą papildo, todėl NIS2 ir kitų reikalavimų kontekste paprastai reikalingi abu.
Pažeidžiamumų valdymo ciklas
Veikiantis procesas – tai ne vienkartinis patikrinimas, o pasikartojantis ciklas:
- Inventorius. Sudarykite visų įrenginių, serverių, programų, domenų ir viešai pasiekiamų paslaugų sąrašą. Neįtrauktos sistemos nebus tikrinamos.
- Skenavimas. Reguliariai tikrinkite sistemas automatizuotais įrankiais – ir vidiniame tinkle, ir iš interneto pusės.
- Prioritetai. Įvertinkite rastas spragas pagal pavojingumą, sistemos svarbą ir tai, ar spraga jau aktyviai išnaudojama.
- Taisymas. Įdiekite pataisas, pakeiskite konfigūraciją arba, jei pataisos dar nėra, pritaikykite laikinas apsaugos priemones.
- Patikra. Pakartotinai nuskenuokite ir įsitikinkite, kad spraga tikrai pašalinta.
- Ataskaitos. Fiksuokite, kas rasta ir kas ištaisyta – tai svarbu ir vadovybei, ir atitikties patikrinimams. Po to ciklas prasideda iš naujo, nes kas mėnesį paskelbiama naujų spragų.
Prioritetų nustatymas yra svarbiausias ciklo žingsnis. Pirmasis skenavimas dažnai parodo šimtus radinių, ir bandymas ištaisyti viską iš karto baigiasi tuo, kad neištaisoma nieko. Pirmiausia verta imtis spragų, kurios yra viešai pasiekiamose sistemose, turi aukštą pavojingumo įvertinimą, pavyzdžiui, pagal CVSS skalę, ir kurias užpuolikai jau aktyviai išnaudoja. Mažiau kritines spragas vidinėse sistemose galima planuoti įprastų atnaujinimų metu.
Išorinis atakos paviršius – tai, ką mato užpuolikas
Didelė dalis rizikos slypi ne vidiniame tinkle, o tame, kas pasiekiama iš interneto: svetainės, klientų portalai, API, pašto ir nuotolinės prieigos serveriai, pamiršti subdomenai. Įmonės dažnai net nežino visų savo viešai pasiekiamų išteklių, ypač kai juos kūrė skirtingi tiekėjai ar padaliniai.
- Išorinio atakos paviršiaus stebėsena padeda rasti nežinomus ar pamirštus išteklius.
- Automatizuotas svetainių ir API skenavimas aptinka dažniausias spragas tarp periodinių testų.
- Įsiskverbimo testas (angl. penetration test), kurį atlieka specialistai, parodo, kaip spragas galima išnaudoti realiai.
- Mobiliųjų programėlių testavimas svarbus įmonėms, kurios klientams teikia savo programėles.
Svarbu ir tai, kad išorinis vaizdas keičiasi nuolat. Paleidžiama nauja svetainės versija, atidaromas prievadas nuotoliniam darbui, tiekėjas įdiegia testinę aplinką – ir atsiranda naujas taškas, kurio vakar dar nebuvo. Todėl vienkartinis patikrinimas kartą per metus suteikia tik momentinę nuotrauką, o nuolatinė stebėsena leidžia pastebėti pokyčius iš karto.
Pataisų valdymas – dažniausiai pamirštas žingsnis
Rasti spragą lengviau, nei ją ištaisyti. Operacinių sistemų atnaujinimai dažnai diegiami automatiškai, tačiau trečiųjų šalių programos – naršyklės, PDF skaitytuvai, archyvavimo ar nuotolinės prieigos įrankiai – lieka nepastebėtos mėnesius. Centralizuotas pataisų valdymas leidžia matyti, kuriuose kompiuteriuose trūksta atnaujinimų, ir diegti juos pagal grafiką.
- Nustatykite, per kiek laiko diegiamos kritinės pataisos ir per kiek – visos kitos.
- Pirmiausia diekite pataisas bandomojoje kompiuterių grupėje, tik po to visai įmonei.
- Programas, kurių gamintojas nebeatnaujina, planuokite pakeisti.
Pažeidžiamumai ir NIS2
NIS2 direktyva tarp privalomų rizikos valdymo priemonių nurodo saugumą įsigyjant, kuriant ir prižiūrint tinklų ir informacines sistemas, įskaitant pažeidžiamumų valdymą ir atskleidimą. Praktiškai tai reiškia, kad įmonė turėtų gebėti parodyti, jog spragos ieškomos reguliariai, vertinamos ir šalinamos, o ne tik tikimasi, kad jų nėra.
NIS2 direktyva Lietuvoje: ką turi padaryti įmonės
Pirmieji žingsniai: ką padaryti per mėnesį
Pažeidžiamumų valdymą galima pradėti ir be didelio projekto. Štai realus planas pirmam mėnesiui:
- Pirmą savaitę surašykite visus viešai pasiekiamus įmonės išteklius: domenus, svetaines, nuotolinės prieigos ir pašto serverius.
- Antrą savaitę įjunkite centralizuotą pataisų valdymą ir pažiūrėkite, kuriuose kompiuteriuose trūksta kritinių atnaujinimų.
- Trečią savaitę atlikite pirmąjį išorinį ir vidinį skenavimą, rezultatus surūšiuokite pagal pavojingumą.
- Ketvirtą savaitę ištaisykite kritines spragas, susitarkite dėl atsakingų asmenų ir nustatykite reguliaraus skenavimo grafiką.
Po pirmojo ciklo dažniausiai paaiškėja, kur slypi didžiausia rizika, ir tampa aišku, ar verta užsakyti išsamų įsiskverbimo testą.
Įrankiai, kuriuos tiekiame
Pažeidžiamumų valdymui ir saugumo testavimui tiekiame kelių gamintojų sprendimus – nuo nuolatinio skenavimo iki specialistų atliekamų testų:
- ImmuniWeb Discovery – išorinio atakos paviršiaus ir grėsmių poveikio stebėsena.
- ImmuniWeb Neuron ir Neuron Mobile – automatizuotas svetainių, API ir mobiliųjų programėlių saugumo skenavimas.
- ImmuniWeb On-Demand ir Continuous – svetainių ir API įsiskverbimo testai, vienkartiniai arba nuolatiniai.
- ImmuniWeb MobileSuite – mobiliųjų programėlių įsiskverbimo testai.
- WithSecure Elements Vulnerability Management – nuolatinis įmonės sistemų skenavimas ir ataskaitos.
- AVG Patch Management – centralizuotas trūkstamų pataisų diegimas.
Šių sprendimų kainą pateikiame pagal užklausą, nes ji priklauso nuo tikrinamų išteklių skaičiaus ir apimties.
Dažniausi klausimai
Kuo pažeidžiamumų skenavimas skiriasi nuo įsiskverbimo testo?
Skenavimas yra automatizuotas ir gali būti atliekamas dažnai, pavyzdžiui, kas savaitę ar nuolat. Įsiskverbimo testą atlieka specialistai: jie ne tik randa spragas, bet ir patikrina, ar jas galima išnaudoti ir kokią žalą tai galėtų padaryti.
Kaip dažnai reikia skenuoti sistemas?
Viešai pasiekiamas sistemas verta stebėti nuolat, o vidinį tinklą skenuoti reguliariai ir po kiekvieno didesnio pakeitimo. Tikslų dažnumą lemia sistemų svarba ir įmonei taikomi reikalavimai.
Ar mažai įmonei reikia pažeidžiamumų valdymo?
Taip, nors apimtis gali būti nedidelė. Mažai įmonei dažnai pakanka centralizuoto pataisų valdymo ir periodinio svetainės bei viešai pasiekiamų paslaugų patikrinimo.
Ar skenavimas gali sutrikdyti sistemų darbą?
Automatizuoti skeneriai paprastai sukurti taip, kad netrukdytų įprastam darbui, tačiau pirmąjį skenavimą verta suplanuoti ne darbo metu ir iš anksto informuoti sistemų administratorius. Įsiskverbimo testų apimtis ir laikas visada suderinami iš anksto.
Išvada
Pažeidžiamumų valdymas nėra vienkartinis projektas – tai įprotis reguliariai ieškoti ir taisyti silpnąsias vietas. Pradėkite nuo inventoriaus ir pataisų valdymo, tada pridėkite išorinio atakos paviršiaus stebėseną ir periodinius testus. Jei norite, kad padėtume parinkti įrankius savo įmonei ar klientams, parašykite mums.